Aktiver Compliance Monitor (ACM) eine wichtige bi-cube Ausprägung

Transkript

1 1 ZUSAMMENFASSUNG ZIELSTELLUNG FUNKTIONS-PRINZIP AKTIVE RÜCKWIRKUNG BZW. NUTZUNG DES ACM ROLE-MINING UND COMPLIANCE BEREITSTELLUNG DES BI-CUBE ACM info@secu-sys.de Web:

2 1 Zusammenfassung Der aktive Compliance Monitor von bi-cube stellt die Compliance-relevanten Funktionen und Komponenten des Systems in einem konsistenten Programm zur Verfügung. Dieses Programm: Setzt auf importierte Berechtigungsdaten der relevanten Systeme auf, Stellt automatisch oder im Dialog entsprechende Reports zur Verfügung, Überwacht, abgeleitet von der Security Classification der Berechtigungs-Objekte und Attribute, besonders auffällige Konstellationen, Überwacht Verstöße gegen SoD-Regeln Aktiviert automatisch bestimmte Prozesse (z.b. Revalidierungs- und Rezertifizierungs- Prozesse), Stößt den Entzug von nicht Compliance-konformen Berechtigungen an Außerdem werden bestimmte standardisierte Compliance-Analysen automatisch erstellt und an definierte Adressaten (IR, Security,...) verschickt. 2 Zielstellung Warum ein systemübergreifendes Compliance Monitoring? Diverse wichtige Applikationen (z.b. SAP) stellen jeweils für ihre Welt leistungsfähige Compliance Werkzeuge zur Verfügung. Für andere Systeme wie z.b. das AD haben sich diverse Compliance Tools als Drittprodukte auf den Markt begeben. Diese haben jedoch wesentliche Beschränkungen, die von bi-cube aufgehoben werden: 1. Der bi-cube Compliance Monitor ist systemneutral und erlaubt damit die Analyse quer über alle Systeme. 2. Der bi-cube Compliance Monitor erlaubt die Modellierung eines praktikablen Rollenmodells. 3. Der bi-cube Compliance Monitor stellt diverse Reportmöglichkeiten zur Verfügung. 4. bi-cube Compliance Monitor stellt ein IKS zur Überwachung unzulässiger Rechtekonstellationen zur Verfügung. 5. Der bi-cube Compliance Monitor bietet einen Prozess-Manager, der mittels eines Regelwerks aktiv Prozesse initiiert. Insbesondere dadurch, dass der bi-cube Compliance Monitor nicht nur die aktuelle Situation der Berechtigungen analysiert sondern vor allem auch direkt reagiert, indem er bestimmte Prozesse wie z.b. die Rezertifizierung oder Revalidierung auslöst, ist es ein wirkungsvolles Tool zur Sicherung der Compliance-Anforderungen. info@secu-sys.de Web:

3 3 Funktions-Prinzip Die wichtigen Zielsysteme werden im bi-cube ACM modelliert. D.h. ihre Berechtigungsstruktur wird im ACM nachgebildet und mit ergänzenden Metadaten (Attribut-Typ, Security Classification,...) versehen. Die Userdaten werden in der Konfiguration des ACM so definiert, dass sie möglichst von einem HR- System automatisiert übernommen werden können. Weitere User (Externe usw.) können über einen separaten Webclient direkt eingefügt werden. Über ein Standardformat werden die Berechtigungen der User von den Zielsystemen in den ACM übernommen und stehen damit einer Analyse zur Verfügung. Einmal migrierte Daten stehen in der DB permanent zur Auswertung auch durch IR, Security usw. bereit. Nach einer Aktualisierung können vordefinierte Reports als CSV-Datei an festgelegte Adressaten verschickt werden. Grundlage einer kontinuierlichen Arbeit mit dem ACM ist deshalb eine regelmäßige Aktualisierung der Daten. 4 Aktive Rückwirkung bzw. Nutzung des ACM Der bi-cube ACM kann in Auswertung seiner Regelbasis folgende Compliance-Aktionen auslösen: 1. Generierung und Versendung vordefinierter Reports 2. Meldung von unzulässigen Rechtekombinationen 3. Auslösen von Entzugsprozessen bei unzulässigen Rechtekombinationen inkl. Freigabe 4. Ermittlung von sog. auffälligen Situationen wie verdächtige Rechtehäufungen oder übermäßige Rechte in direkter Zuordnung (nicht über Rollen zugewiesen), Konzentration von Rechten hoher Security Classification usw. 5. Prüfung der Anpassung von Berechtigungen beim Wechsel im Unternehmen (OE-Wechsel) 6. Über den Differenz-Check können vor einer evtl. Aktualisierung der Daten die Abweichungen zwischen Berechtigungen in den Zielsystemen und der zentralen DB ermittelt werden. 7. Auslösen von Re-Zertifizierungen / Wiederholungsfreigaben von hohen Berechtigungen (SC) Re-Validierung / Wiederholungsbestätigung für die Beschäftigung Externer Re-Confirmation / Wiedervorlage wichtiger User-Richtlinien zur Bestätigung durch den User Im Web-Client des ACM können durch berechtigte Personen auch beliebige Analysen vorgenommen werden: Abbildung 1: Anzeige der kritischen Systeme im Web info@secu-sys.de Web:

4 Wenn die Berechtigungen zur Antragsstellung freigegeben sind, kann der ACM auch zum Auslösen von Berechtigungsantragsprozessen genutzt werden (s. Service Center und Prozess-Viewer) Abbildung 2: Der Prozess Viewer im Web zeigt den Fortschritt des Prozesses an Abbildung 3: Eine Reihe vordefinierter, abrufbarer Reports im Web Web:

5 Über den so genannten halbautomatischen Prozess könnten dann direkt die Admins beauftragt werden, bestimmte Berechtigungsaktionen vorzunehmen (über ein bi-cube Ticket oder ein externes Ticketing-System wie RSA, CA u.a.) 5 Role- Mining und Compliance Die importierten Berechtigungsdaten können auch einem Rolemining unterworfen werden. In dieser Komponente werden dann über mathematische Verfahren (Cluster-Analyse) Vorschläge für eine Gruppierung von Berechtigungen in Rollen ermittelt. Unter der Vorraussetzung, dass in der Modellierung die Berechtigungsattribute mit einer Security Classification versehen wurden, können diese im Rolemining besonders berücksichtigt werden. 6 Bereitstellung des bi-cube ACM Der bi-cube ACM kann im Rahmen einer Compliance-Analyse durch das ism dem Kunden für eine bestimmte Zeit kostenlos zur Verfügung gestellt werden. Für eine selbstständige und zeitlich unbegrenzte Nutzung ist eine Lizenzierung erforderlich. info@secu-sys.de Web: